[發明專利]一種安全保護方法及裝置

有效

• 申請號: 201910346581.7
• 申請日: 2019-04-26
• 公開（公告）號: CN111866884B
• 公開（公告）日: 2022-05-24
• 發明（設計）人: 胡力
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04W12/106
• 分類號: H04W12/106;H04W12/02;H04L9/32;H04L9/08
• 代理公司: 北京中博世達專利商標代理有限公司 11274
• 代理人: 申健

1.一種安全保護方法，其特征在于，所述方法包括：

移動性管理網元根據所述移動性管理網元的私鑰對非接入層NAS消息進行完整性保護，以生成第一消息驗證碼MAC；

所述移動性管理網元向終端發送所述第一MAC、第二MAC、所述移動性管理網元的公鑰以及所述NAS消息，其中，所述第二MAC為公鑰授權網元利用所述公鑰授權網元的私鑰對所述移動性管理網元的公鑰進行簽名后生成的MAC，所述第二MAC用于驗證所述終端接收到的移動性管理網元的公鑰的真實性。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

所述移動性管理網元從所述終端接收初始NAS消息；

所述移動性管理網元響應于所述初始NAS消息，向所述公鑰授權網元發送所述移動性管理網元的公鑰；

所述移動性管理網元接收所述公鑰授權網元發送的所述第二MAC。

3.根據權利要求2所述的方法，其特征在于，所述初始NAS消息包括所述終端的歸屬網絡信息；所述移動性管理網元響應于所述初始NAS消息，向所述公鑰授權網元發送所述移動性管理網元的公鑰，包括：

所述移動性管理網元根據所述終端的歸屬網絡信息，向所述公鑰授權網元發送所述移動性管理網元的公鑰。

4.根據權利要求2或3所述的方法，其特征在于，所述初始NAS消息包括第一隨機數值，所述移動性管理網元根據所述移動性管理網元的私鑰對非接入層NAS消息進行完整性保護，以生成第一MAC，包括：

所述移動性管理網元生成第二隨機數值；

所述移動性管理網元根據所述第一隨機數值、第二隨機數值以及移動性管理網元的私鑰對NAS消息進行完整性保護，以生成所述第一MAC。

5.根據權利要求4所述的方法，其特征在于，所述方法還包括：

所述移動性管理網元向所述終端發送所述第二隨機數值。

6.根據權利要求1所述的方法，其特征在于，所述移動性管理網元根據所述移動性管理網元的私鑰對非接入層NAS消息進行完整性保護，以生成第一MAC，包括：

當所述移動性管理網元確定所述移動性管理網元與所述終端間的NAS安全保護未被激活時，所述移動性管理網元根據所述移動性管理網元的私鑰對非接入層NAS消息進行完整性保護，以生成第一MAC。

7.一種安全保護方法，其特征在于，所述方法還包括：

終端接收移動性管理網元發送的第一消息驗證碼MAC、第二MAC、所述移動性管理網元的公鑰以及非接入層NAS消息；其中，所述第一MAC是所述移動性管理網元根據所述移動性管理網元的私鑰對所述NAS消息進行完整性保護后生成的MAC，所述第二MAC是公鑰授權網元根據所述公鑰授權網元的私鑰對所述移動性管理網元的公鑰進行簽名后生成的MAC；

若所述終端根據所述公鑰授權網元的公鑰對接收到的所述移動性管理網元的公鑰執行完整性保護算法得到的MAC與所述第二MAC相同，則所述終端接收到的移動性管理網元的公鑰是真實的，所述終端根據所述移動性管理網元的公鑰以及所述第一MAC，對所述NAS消息進行完整性校驗。

8.根據權利要求7所述的方法，其特征在于，所述方法還包括：

所述終端接收所述移動性管理網元發送的第二隨機數值；其中，所述第二隨機數值由所述移動性管理網元生成；

所述終端根據所述移動性管理網元的公鑰以及所述第一MAC，對所述NAS消息進行完整性校驗，包括：所述終端根據所述移動性管理網元的公鑰、所述第一MAC、第一隨機數值和所述第二隨機數值，對所述NAS消息進行完整性校驗；其中，所述第一隨機數值由所述終端生成。

9.根據權利要求7或8所述的方法，其特征在于，所述終端根據所述移動性管理網元的公鑰以及所述第一MAC，對所述NAS消息進行完整性校驗，包括：

當所述NAS消息包括關鍵信元時，所述終端根據所述移動性管理網元的公鑰以及所述第一MAC，對所述NAS消息進行完整性校驗。